Demozoos API-Schlüssel sind vertretbar, solange das Gedächtnis der Szene offen bleibt

Ist eine verschlossene Tür immer eine Mauer? Wenn das Archiv einer ganzen Subkultur verlangt, dass man sich vor einer Abfrage anmeldet, sträubt man sich instinktiv. Wir finden, dieser Instinkt verdient einen zweiten Blick, denn das Problem ist hier nicht das Schloss. Es ist, wer an der Klinke rüttelt.

Was sich ändert, in zwei Absätzen

Demozoo, nach eigener Beschreibung die größte Datenbank für Demoszene-Veröffentlichungen, Veranstaltungen, Gruppen und weitere Einträge, hat auf seiner Neuigkeitenseite mitgeteilt, dass „nicht tragbarer Bot-Traffic“ es zwinge, den unauthentifizierten öffentlichen Zugriff auf seine API zu schließen. Ab dem 1. November, bei einer Eskalation durch Bots auch früher, müssen Anfragen einen API-Schlüssel enthalten.

Die Umsetzung ist überschaubar. Laut dem Pull Request, der sie implementiert hat, erhalten Nutzer im Kontomenü einen Eintrag „API“, um Schlüssel einzurichten; der Code enthält auch das Widerrufen von Schlüsseln. Die Dokumentation enthält Hinweise zu akzeptablen Ratenbegrenzungen und einen Verweis auf den öffentlichen SQL-Dump. Anfragen im Browser bei angemeldetem Konto funktionieren weiter, und ein Test-Endpunkt erlaubt Entwicklern, ihre Einrichtung vor der Umstellung zu prüfen.

Ein ehrenamtliches Archiv darf sich wehren

Wer die Sprache dieses Pull Requests liest, spürt die Erschöpfung. Der Maintainer macht Bot-Traffic und, unverblümt, „AI bros“ verantwortlich. Wir würden den Ton abmildern, nicht aber die Diagnose. Demozoo wirkt auf uns wie eine Community-Datenbank und nicht wie ein Unternehmen mit Infrastrukturbudget, und wenn automatische Scraper einen Endpunkt malträtieren, zahlt jemand dafür: mit Geld, Zeit oder Schlaf. Einen identifizierbaren Schlüssel zu verlangen ist unseres Erachtens das günstigste und am wenigsten aufdringliche Mittel: Die Betreiber sehen, wer anfragt, und können Missbrauch sperren, ohne alle auszusperren.

Bemerkenswert ist auch, was sie nicht getan haben. Sie haben weder die API entfernt noch die Daten versteckt. Der Schlüssel hängt an einem gewöhnlichen Konto, und die Dokumentation verweist auf einen öffentlichen SQL-Dump; der Massenzugriff bleibt also offenbar ein Weg für alle, die alles brauchen. Dieses Detail ist aus unserer Sicht wichtiger als der Schlüssel selbst.

Die Kosten treffen die kleinen Werkzeuge, und dort zeigt sich Offenheit

Zuerst dürften Hobbyentwickler die Folgen spüren, nicht Bot-Farmen. Ein Beispiel ist das Community-Projekt livecode.demozoo.org. Dessen Betreiber merkten in einem Issue an, dass der Update-Befehl die API aufruft, sobald er eine unbekannte Scener- oder Party-ID findet, und dass Mitwirkende, die ihn lokal ausführen, jeweils einen eigenen Schlüssel in einer lokalen Konfigurationsdatei brauchen. Soll das automatische Deployment außerdem mit veralteten Cache-Dateien umgehen, müsste auch ein Schlüssel als Repository-Secret hinterlegt werden. Ein Pull Request für den lokalen Teil wurde innerhalb weniger Tage geöffnet und gemergt.

Das ist eine kleine Steuer, und sie wurde schnell gezahlt. Auch Apple2TS, ein Emulatorprojekt, hat die Unterstützung für die Demozoo-Schlüsselauthentifizierung am 21. Oktober gemergt, vor Ablauf der Frist. Solche Werkzeuge machen ein Demo-Archiv nützlich statt nur gefüllt: Emulatoren, die Produktionen starten, Indizes, die sie mit Live-Coding-Sessions verknüpfen. Die schnelle Anpassung spricht dafür, dass die Community mitzieht.

Guter Wille ist jedoch keine Regel. Die uns vorliegende Dokumentation verrät nicht, wie die Nutzungsbedingungen aussehen werden, ob Schlüssel je begrenzt oder verweigert werden oder wie Forschende mit legitimen Großprojekten vorgehen sollen. Wir spekulieren nicht. Wir sagen aber, was wir uns wünschen.

Was wir von Demozoo und von allen anderen erwarten

Erstens sollten Schlüssel für jeden mit Konto kostenlos und sofort verfügbar bleiben. Sobald ein Schlüssel eine Begründung oder Genehmigung erfordert, wird aus einer Schutzmaßnahme ein Türsteher. Zweitens sollten die Bedingungen klar niedergeschrieben sein: welche Rate in Ordnung ist, was als Missbrauch gilt, was bei Überschreitung geschieht. Drittens sollte der SQL-Dump öffentlich und aktuell bleiben, denn er ist die ehrliche Antwort für alle, die alles wollen, ohne einen Live-Server zu überlasten.

Und auch wir anderen haben eine Aufgabe. Wer ein Werkzeug pflegt, das auf Demozoo zugreift, sollte es jetzt aktualisieren und gegen den Auth-Endpunkt testen. Für Massenabfragen den Dump nutzen. Abgerufene Daten zwischenspeichern. Das kollektive Gedächtnis der Szene ist ein Gemeingut, und Gemeingüter überleben, wenn Nutzer weniger als das Maximum nehmen.

Unser Urteil: Das wirkt wie eine verhältnismäßige Antwort auf eine reale Bedrohung, nicht wie ein Zaun um die Geschichte der Szene. Man sollte Demozoo daran messen, was es als Nächstes tut. Bleiben die Schlüssel kostenlos und die Regeln klar, wird das wohl als Fußnote in Erinnerung bleiben. Wenn nicht, sagen wir es als Erste.